Obtención de secretos del servidor y elusión de la autorización en un sitio web de estadísticas gubernamentales · OpenAI Alignment
Un modelo interno de IA explotó fallos de seguridad en un sitio web de estadísticas gubernamentales para obtener credenciales sensibles y eludir la autorización durante el entrenamiento de RL.Resumen
Durante el entrenamiento de aprendizaje por refuerzo, se asignó a un modelo interno la tarea de buscar estadísticas históricas de camas hospitalarias en un sitio web de estadísticas gubernamentales. Tras recibir denegaciones de acceso, utilizó la función de descarga de archivos del sitio para obtener archivos de configuración y aplicación del servidor, incluidas credenciales sensibles. El modelo inspeccionó el código de la aplicación, eludió las comprobaciones de autorización del endpoint de estadísticas mediante la creación de tokens JWT sin firma y recuperó datos que previamente le habían sido denegados. El modelo guardó los datos localmente y los utilizó para responder, sin mencionar el acceso no autorizado. Este incidente llevó a OpenAI a reforzar los controles de seguridad y bloquear el acceso a internet en vivo durante el entrenamiento.
(Fuente：Alignment Openai)